DMARC permet au propriétaire d'un domaine d'indiquer aux serveurs destinataires quoi faire des e-mails qui échouent à l'alignement SPF et DKIM, et leur demande d'envoyer des rapports à ce sujet. Il protège votre domaine contre son utilisation dans des adresses From falsifiées.

Dois-je commencer avec p=none ?

Oui. Une politique p=none n'applique aucune action aux e-mails en échec mais collecte des rapports, ce qui vous permet de repérer tous les expéditeurs légitimes et de les corriger avant de passer à quarantine puis à reject.

Puis-je avoir deux enregistrements DMARC ?

Non. Publiez exactement un enregistrement TXT DMARC à l'adresse _dmarc.yourdomain. Deux enregistrements rendent la politique invalide, et les destinataires peuvent ignorer les deux.

Au bout de combien de temps puis-je passer à reject ?

Cela dépend du nombre de systèmes qui envoient au nom de votre domaine. De nombreuses équipes passent plusieurs semaines à lire les rapports et à corriger les expéditeurs avant de durcir la politique, et le font par étapes plutôt qu'en une seule fois.

Comment configurer DMARC : guide pas à pas

En un coup d'œil. Hôte de l'enregistrement : _dmarc.yourdomain.com (TXT) · Pour commencer : p=none plus une adresse rua · Pour durcir : quarantine, puis reject, par étapes · Un seul enregistrement : deux enregistrements invalident les deux

L'essentiel en bref

À quoi sert DMARC. DMARC signifie Domain-based Message Authentication, Reporting and Conformance.
Avant de commencer. DMARC réussit lorsque SPF ou DKIM réussit et que le domaine concerné correspond, ou est aligné, au domaine de l'adresse From.
Étape 1 : publier un enregistrement en mode surveillance. DMARC est un enregistrement TXT à l'adresse _dmarc.yourdomain.com.
Étape 2 : lire les rapports agrégés. Les destinataires envoient chaque jour des rapports XML à l'adresse rua.
Exemple concret de lecture d'un rapport. Imaginons qu'un rapport montre trois sources pour votre domaine.
DMARC avec les fournisseurs de messagerie courants. Si la messagerie de votre équipe fonctionne sur Google Workspace ou Microsoft 365, chaque fournisseur a ses propres étapes pour activer la signature DKIM de votre domaine et sa propre valeur include pour SPF.

À quoi sert DMARC

DMARC signifie Domain-based Message Authentication, Reporting and Conformance. Il s'appuie sur deux contrôles plus anciens. SPF indique quels serveurs peuvent envoyer pour votre domaine, et DKIM ajoute une signature qui prouve que le message n'a pas été altéré. DMARC ajoute deux choses : une règle indiquant aux destinataires quoi faire lorsque ces deux contrôles ne s'alignent pas avec votre domaine From visible, et un moyen pour les destinataires de vous faire des retours.

Sans DMARC, n'importe qui peut mettre votre domaine dans la ligne From et les destinataires n'ont aucune instruction de votre part sur la conduite à tenir. Avec DMARC, vous pouvez repérer les usages abusifs et, le moment venu, demander aux destinataires de les rejeter.

Avant de commencer

DMARC réussit lorsque SPF ou DKIM réussit et que le domaine concerné correspond, ou est aligné, au domaine de l'adresse From. SPF et DKIM doivent donc déjà fonctionner pour chaque service qui envoie au nom de votre domaine : votre service d'envoi, le fournisseur de messagerie de votre entreprise, votre CRM, votre support client et tout outil de facturation.

Dressez la liste de chacun d'eux. Les expéditeurs oubliés sont la cause la plus fréquente de déploiements DMARC qui bloquent des e-mails légitimes. Notre vérificateur gratuit montre ce qui est publié aujourd'hui.

Étape 1 : publier un enregistrement en mode surveillance

DMARC est un enregistrement TXT à l'adresse _dmarc.yourdomain.com. Commencez avec la politique p=none, qui demande aux destinataires de ne prendre aucune mesure tout en vous envoyant des rapports. Remplacez l'adresse par une boîte mail que vous lisez réellement, ou par un service de rapports.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Certains panneaux DNS ajoutent le nom de domaine pour vous : vous saisissez alors uniquement _dmarc comme hôte. D'autres exigent le nom complet. Si votre panneau supprime les guillemets ou découpe les valeurs longues, vérifiez le résultat avec un outil de consultation plutôt que de vous fier à l'écran.

Étape 2 : lire les rapports agrégés

Les destinataires envoient chaque jour des rapports XML à l'adresse rua. Chacun indique les adresses IP qui ont envoyé des e-mails se réclamant de votre domaine, le nombre de messages, et si SPF et DKIM ont réussi et se sont alignés. Le XML brut est difficile à lire : la plupart des équipes utilisent donc un lecteur de rapports gratuit ou payant.

Cherchez deux choses. D'une part, les expéditeurs légitimes qui échouent à l'alignement, que vous devez corriger ; d'autre part, les sources que vous ne reconnaissez pas, qui peuvent relever de l'usurpation. Laissez passer deux à quatre semaines afin que les expéditeurs mensuels, comme les cycles de facturation, apparaissent aussi.

Exemple concret de lecture d'un rapport

Imaginons qu'un rapport montre trois sources pour votre domaine. La première est votre service d'envoi : 40 000 messages, SPF et DKIM réussissent tous deux et sont alignés. La deuxième est le fournisseur de messagerie de votre entreprise : 600 messages, DKIM réussit et est aligné. La troisième est un serveur inconnu situé dans un autre pays : 900 messages, les deux échouent.

Les deux premières ne demandent aucune action. La troisième est soit un outil que vous avez oublié, soit quelqu'un qui se fait passer pour vous. Déterminez lequel avant de durcir la politique. S'il s'agit d'un outil oublié, corrigez son authentification. S'il n'est pas à vous, c'est précisément le trafic que p=reject est censé arrêter.

DMARC avec les fournisseurs de messagerie courants

Si la messagerie de votre équipe fonctionne sur Google Workspace ou Microsoft 365, chaque fournisseur a ses propres étapes pour activer la signature DKIM de votre domaine et sa propre valeur include pour SPF. Faites-le d'abord, puis publiez DMARC. De nombreuses petites entreprises en Inde gèrent leur DNS via un panneau de bureau d'enregistrement tel que GoDaddy, BigRock ou Hostinger, ou via Cloudflare, et l'enregistrement TXT fonctionne de la même manière dans chacun.

Quel que soit celui que vous utilisez, n'ajoutez l'enregistrement DMARC qu'une seule fois et vérifiez-le par une consultation après quelques minutes. Les modifications DNS peuvent mettre du temps à se propager, et certains panneaux mettent en cache pendant des heures.

Étape 3 : corriger ce qui échoue

Pour chaque expéditeur légitime en échec, décidez s'il faut corriger SPF, DKIM ou les deux. Un outil tiers qui envoie depuis son propre domaine a besoin d'une signature DKIM personnalisée pour le vôtre. Un serveur oublié doit être ajouté à SPF, en respectant la limite de dix requêtes DNS.

Un e-mail transféré peut échouer à SPF parce que le serveur du transitaire ne figure pas dans votre enregistrement. DKIM survit généralement au transfert, ce qui est une bonne raison de s'assurer que chaque expéditeur signe.

Étape 4 : passer à quarantine, puis à reject

Lorsque les rapports montrent que vos e-mails légitimes réussissent, durcissez la politique par étapes. p=quarantine demande aux destinataires de traiter les échecs comme suspects, généralement en spam. p=reject leur demande de refuser le message. La balise pct permet d'appliquer d'abord la politique à une partie des e-mails.

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.com

Avancez d'un cran à la fois et surveillez les rapports pendant une quinzaine de jours à chaque étape. Il n'y a aucun prix à atteindre reject rapidement, et un changement précipité peut bloquer des factures et des réinitialisations de mot de passe.

Sous-domaines et autres balises

Un enregistrement DMARC s'applique aussi aux sous-domaines, sauf si vous ajoutez une balise sp. Si vous envoyez des e-mails marketing depuis un sous-domaine, vous pouvez y publier un enregistrement distinct. Les balises adkim et aspf contrôlent la rigueur de l'alignement. Le mode relaxed, qui est le mode par défaut, permet à un sous-domaine de correspondre au domaine organisationnel. La plupart des expéditeurs devraient laisser les deux inchangées.

Vous verrez peut-être une balise ruf pour les rapports forensiques. Peu de destinataires en envoient, et ils peuvent contenir le contenu des messages : la plupart des organisations ne les utilisent donc pas.

Erreurs à éviter

Publier deux enregistrements DMARC sur un même domaine les invalide tous les deux : conservez-en exactement un. Ne passez pas à p=reject dès le premier jour. Ne dirigez pas les rapports vers une boîte que personne ne lit. Et ne considérez pas DMARC comme une solution de délivrabilité à lui seul : il prouve qui vous êtes, pas que vos e-mails sont souhaités. La qualité de la liste et les taux de plaintes décident toujours de l'arrivée en boîte de réception.

Les grands fournisseurs de messagerie attendent désormais des expéditeurs en masse qu'ils aient SPF, DKIM et DMARC en place : cela vaut donc la peine, même si votre volume est modeste. Notre guide sur les exigences des fournisseurs de messagerie explique ce que chacun demande.

Pour aller plus loin et sources

Dans MigoSMTP : articles du centre d'aide

Guides et outils associés

Générateur d'enregistrement DMARC : créez un enregistrement à coller dans votre DNS.
Vérifier SPF, DKIM et DMARC : testez les enregistrements de votre domaine.
Exigences des fournisseurs de messagerie : ce qu'attendent Gmail, Outlook et Yahoo.

Vous n'êtes pas sûr de vos enregistrements ? Lancez notre vérificateur gratuit, ou envoyez-nous un en-tête et nous vous aiderons à le lire.

Commencer gratuitement

Comment configurer DMARC : guide pas à pas avec exemples